Co se přesně stalo?
Dne 6. září došlo ke zneužití zranitelnosti v síti Liquid Network, kterou provozuje společnost Blockstream. Liquid je takzvaný sidechain nad Bitcoinem, kde je L-BTC (Liquid Bitcoin) tokenem, jenž má být kryt reálnými bitcoiny v poměru 1:1.
Podle popisu CryptoSlate umožnila chyba útočníkovi vytvořit zhruba 4 000 nekrytých L-BTC a přes službu SideSwap vyvést přibližně 3 996 skutečných BTC. Jinými slovy, útočník si vyrobil tokeny bez krytí a vyměnil je za reálné bitcoiny.
Po té, co Blockstream nasadil opravu na dotčené uzly (nodes), část prostředků se vrátila.
Kolik peněz se vrátilo a kolik chybí?
Liquid podle The Defiant informoval 8. září, že útočník vrátil 3 400 BTC a že v tu chvíli zůstávalo nesplacených přibližně 598,5 BTC.
| Položka | Množství BTC | Zdroj |
|---|---|---|
| Odhad původně vyvedených prostředků | ~3 996 BTC | CryptoSlate |
| Vráceno útočníkem | 3 400 BTC | The Defiant, Incrypted |
| Zbývá nesplaceno | ~598,5 BTC | The Defiant, Decrypt |
Hodnota zbývající částky se v jednotlivých zdrojích mírně liší podle kurzu v okamžiku psaní: Decrypt uvádí zhruba 47 milionů dolarů, CryptoSlate mluví o zhruba 50 milionech dolarů. Jde o odhad, který se s cenou Bitcoinu mění.
Co útočník požaduje?
Podle CryptoSlate útočník poté, co vrátil 3 400 BTC, požádal o „odměnu“ (bounty) ve výši 10 %, kterou by měl zaplatit Blockstream ze svých vlastních prostředků. Zároveň měl varovat, že jinak by držitelé mohli nést ztrátu ve výši zhruba 15 %.
Jde tedy o spor o to, zda se za částečné vrácení odcizených prostředků má vyplácet odměna, a kdo by ji měl hradit.
Jak reagoval Blockstream?
Blockstream 11. září ve svém prohlášení na síti X uvedl, že výkupné nezaplatí. Firma podle Incrypted a Decrypt označila jednání za krádež, nikoli za zodpovědné nahlášení zranitelnosti.
V překladu smyslu prohlášení (Incrypted): získání aktiv bez povolení a odmítnutí jejich vrácení je trestný čin, nikoli responsible disclosure, a nejde o činnost typu white hat. Pojem „white hat“ přitom označuje bezpečnostního výzkumníka, který chybu nahlásí a prostředky vrátí, typicky výměnou za předem dohodnutou odměnu.
Decrypt dodává, že pokud prostředky nebudou vráceny, Blockstream se hodlá obrátit na orgány činné v trestním řízení.
Proč je to důležité?
Spor je ukázkou širší debaty v kryptu: jak se má odvětví stavět k útočníkům, kteří část prostředků vrátí a za zbytek si nárokují „odměnu“. Blockstream volí tvrdou linii a rámuje celou věc jako krádež, nikoli jako vyjednávání o bug bounty.
Co zůstává nejisté?
Z dostupných zdrojů zatím nevyplývá, zda a jak byla podána trestní oznámení, zda je útočník identifikovaný, ani zda dojde k dalšímu vrácení prostředků. Rovněž není potvrzeno, jaká přesná ztráta by případně dopadla na držitele L-BTC. Toto jsou body, které je u podobných případů vhodné sledovat.